CVE-2026-71281 in peft
Riassunto
di VulDB • 05/08/2026
I moduli di inizializzazione LoRA-GA e CorDA della libreria peft di Hugging Face (righe ~102 e ~163 del file src/peft/tuners/lora/corda.py, e riga ~101 del file src/peft/tuners/lora/loraga.py) invocano torch.load() su file cache o covariance specificati nella configurazione senza impostare weights_only=True, aggirando il wrapper di caricamento sicuro implementato da peft utilizzato altrove nel codice. Poiché torch.load(), quando non viene utilizzata l'opzione weights_only=True, esegue una deserializzazione pickle completa, il caricamento di un file cache o covariance malevolo (ad esempio, una cache LoRA-GA o CorDA condivisa o scaricata) comporta l'esecuzione arbitraria di codice.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.